如何通过AWS CloudFormation向ECS任务传递JSON配置对象？

完全可以通过CloudFormation将JSON配置传递给ECS容器，并在代码中读取使用。以下是几种适配你的场景的实现方案：

方案一：环境变量传递（适合轻量、非敏感配置） #

将JSON配置序列化为字符串，通过环境变量注入容器，代码中读取后解析为JSON对象。

修改CloudFormation任务定义 #

在ContainerDefinitions中添加Environment字段，可直接传入静态配置字符串，也可通过CloudFormation参数动态生成：

"ECRInstance": {
    "Type": "AWS::ECS::TaskDefinition",
    "Properties": {
        "NetworkMode": "awsvpc",
        "Cpu": 256,
        "Memory": 512,
        "ExecutionRoleArn": { "Ref": "ECSTaskRole" },
        "requiresCompatibilities": ["FARGATE"],
        "ContainerDefinitions": [
            {
                "Name": "my_app",
                "Image": "...",
                "PortMappings": [{"ContainerPort": 8080}],
                "LogConfiguration": { /* 保留原有日志配置 */ },
                "Environment": [
                    {
                        "Name": "APP_CONFIG",
                        // 静态JSON字符串示例
                        "Value": "{\"apiEndpoint\":\"https://example.com/api\",\"env\":\"production\"}"
                        // 动态生成示例（需提前定义对应CloudFormation参数）
                        // "Value": {"Fn::Sub": "{\"apiEndpoint\":\"${ApiEndpointParam}\",\"env\":\"${EnvironmentParam}\"}"}
                    }
                ]
            }
        ]
    }
}

Node.js代码读取配置 #

在代码中读取环境变量并解析为JSON对象：

function readCfg() {
    const configStr = process.env.APP_CONFIG;
    if (!configStr) {
        throw new Error("未找到APP_CONFIG环境变量");
    }
    return JSON.parse(configStr);
}

const configuration = readCfg();

方案二：Secrets Manager传递（适合敏感配置） #

如果配置包含敏感信息（如数据库密码、API密钥），使用AWS Secrets Manager存储配置，通过任务定义注入容器，同时确保ECS任务角色有访问权限。

1. 在CloudFormation中添加Secret资源 #

"AppConfigSecret": {
    "Type": "AWS::SecretsManager::Secret",
    "Properties": {
        "SecretString": "{\"dbPassword\":\"mySecurePassword\",\"apiKey\":\"myApiKey123\"}"
    }
}

2. 给ECS任务角色添加访问权限 #

修改ECSTaskRole的策略，允许读取该Secret：

"ECSTaskRole": {
    "Type": "AWS::IAM::Role",
    "Properties": {
        "AssumeRolePolicyDocument": {
            "Version": "2012-10-17",
            "Statement": [
                {
                    "Effect": "Allow",
                    "Principal": { "Service": "ecs-tasks.amazonaws.com" },
                    "Action": "sts:AssumeRole"
                }
            ]
        },
        "Policies": [
            {
                "PolicyName": "AccessAppConfigSecret",
                "PolicyDocument": {
                    "Version": "2012-10-17",
                    "Statement": [
                        {
                            "Effect": "Allow",
                            "Action": "secretsmanager:GetSecretValue",
                            "Resource": { "Ref": "AppConfigSecret" }
                        }
                    ]
                }
            }
        ]
    }
}

3. 修改任务定义注入Secret #

在ContainerDefinitions中添加Secrets字段：

"ContainerDefinitions": [
    {
        "Name": "my_app",
        "Image": "...",
        "PortMappings": [{"ContainerPort": 8080}],
        "LogConfiguration": { /* 保留原有日志配置 */ },
        "Secrets": [
            {
                "Name": "APP_CONFIG",
                "ValueFrom": { "Ref": "AppConfigSecret" }
            }
        ]
    }
]

4. Node.js代码读取配置 #

读取逻辑和环境变量方案一致，因为Secret会被自动注入为环境变量：

function readCfg() {
    const configStr = process.env.APP_CONFIG;
    if (!configStr) {
        throw new Error("未找到APP_CONFIG密钥");
    }
    return JSON.parse(configStr);
}

const configuration = readCfg();

方案三：S3存储配置文件（适合大体积配置） #

如果配置文件较大或需要独立管理，可将配置文件上传至S3，容器启动时下载或代码直接从S3读取。

1. 在CloudFormation中添加S3桶 #

"AppConfigBucket": {
    "Type": "AWS::S3::Bucket",
    "Properties": {
        "BucketName": "my-app-config-bucket-xxx" // 替换为唯一桶名
    }
}

2. 给ECS任务角色添加S3访问权限 #

修改ECSTaskRole的策略，允许读取桶内的配置文件：

"ECSTaskRole": {
    "Type": "AWS::IAM::Role",
    "Properties": {
        "AssumeRolePolicyDocument": { /* 保留原有内容 */ },
        "Policies": [
            {
                "PolicyName": "AccessConfigBucket",
                "PolicyDocument": {
                    "Version": "2012-10-17",
                    "Statement": [
                        {
                            "Effect": "Allow",
                            "Action": ["s3:GetObject"],
                            "Resource": { "Fn::Sub": "${AppConfigBucket.Arn}/config.json" }
                        }
                    ]
                }
            }
        ]
    }
}

3. 容器启动时下载配置文件（可选） #

修改容器的启动命令，先从S3下载配置文件再启动应用：

"ContainerDefinitions": [
    {
        "Name": "my_app",
        "Image": "...",
        "PortMappings": [{"ContainerPort": 8080}],
        "LogConfiguration": { /* 保留原有日志配置 */ },
        "Command": [
            "sh",
            "-c",
            "aws s3 cp s3://my-app-config-bucket-xxx/config.json /app/config.json && node app.js"
        ],
        "Environment": [
            {
                "Name": "AWS_REGION",
                "Value": { "Ref": "AWS::Region" }
            }
        ]
    }
]

4. Node.js代码读取配置 #

读取本地下载的配置文件：

const fs = require('fs');
const path = require('path');

function readCfg() {
    const configPath = path.join(__dirname, 'config.json');
    const configStr = fs.readFileSync(configPath, 'utf8');
    return JSON.parse(configStr);
}

const configuration = readCfg();

直接从S3读取配置：

const { S3Client, GetObjectCommand } = require('@aws-sdk/client-s3');

async function readCfg() {
    const s3Client = new S3Client({ region: process.env.AWS_REGION });
    const command = new GetObjectCommand({
        Bucket: 'my-app-config-bucket-xxx',
        Key: 'config.json'
    });
    const response = await s3Client.send(command);
    const configStr = await response.Body.transformToString();
    return JSON.parse(configStr);
}

// 使用示例
readCfg().then(config => {
    console.log('配置读取成功:', config);
}).catch(err => {
    console.error('配置读取失败:', err);
    process.exit(1);
});

内容的提问来源于stack exchange，提问作者Mertcan Karık